telegram-search contains a stored cross-site scripting vulnerability that allows remote attackers...
Summary
Cross-site scripting reported (CVE-2026-73031). Confidential information can be exposed externally.
Original description
The description as published by the source.
telegram-search contains a stored cross-site scripting vulnerability that allows remote attackers to execute arbitrary JavaScript in victims' browsers by sending crafted messages containing unsanitized HTML to a shared Telegram group. The highlightKeyword function in MessageList.vue passes raw message content directly to v-html without HTML escaping or sanitization, enabling stored, cross-user, zero-click execution of injected payloads such as image onerror handlers when victims browse or search messages.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
telegram-searchに保存型XSSの脆弱性が存在し、攻撃者は細工されたメッセージを介して被害者のブラウザで任意のJavaScriptを実行できます。これはunsanitized HTMLを共有グループで送信することにより可能になります。問題はMessageList.vue内のhighlightKeyword関数が原因です。
telegram-searchには保存型のクロスサイトスクリプティングの脆弱性があります。
MessageList.vueのhighlightKeyword関数で発生します。
この脆弱性は任意のJavaScriptが被害者のブラウザで無操作で実行される危険があります。
highlightKeyword関数でHTMLをエスケープまたはサニタイズする処理を追加してください。
情報なし
特定のグループ内のメッセージのHTMLコンテンツを確認し、unsanitizedな要素がないかチェックしてください。